CVE-2026-22563: Injeção de Comando no UniFi Play via Validação Imprópria de Entrada
A CVE-2026-22563 reúne vulnerabilidades de Validação Imprópria de Entrada (CWE-20) no UniFi Play PowerAmp e no UniFi Play Audio Port que podem permitir injeção de comando por um agente com acesso à rede UniFi Play. O registro informa pontuação CVSS 3.1 de 9,8 (crítica) e indica as versões corrigidas 1.0.38 para o PowerAmp e 1.1.9 para o Audio Port. Não há inclusão no catálogo KEV nem exploração confirmada nas fontes consultadas.
Visão geral
O registro descreve uma série de fraquezas de Validação Imprópria de Entrada (CWE-20) na linha de produtos UniFi Play que podem permitir injeção de comando por um agente malicioso com acesso à rede UniFi Play. O aviso do fabricante citado no registro é a fonte principal para as versões afetadas e corrigidas.
Impacto
- A descrição aponta injeção de comando como possível consequência das fraquezas.
- O vetor CVSS 3.1 do registro indica impacto alto para confidencialidade, integridade e disponibilidade.
- O registro indica vetor de rede, baixa complexidade e ausência de privilégios ou interação do usuário.
Produtos e versões afetadas
- UniFi Play PowerAmp: versão 1.0.35 e anteriores.
- UniFi Play Audio Port: versão 1.0.24 e anteriores.
Os campos estruturados de afetados e correções do registro estão vazios, portanto os intervalos acima vêm apenas do texto da descrição.
Situação de exploração
O catálogo KEV da CISA não lista esta CVE no registro. Nenhuma exploração ativa confirmada aparece nas fontes consultadas. A probabilidade EPSS no registro é 0,01051, com percentil de 0,63397.
Correção e mitigação
- Atualize o UniFi Play PowerAmp para a versão 1.0.38 ou posterior.
- Atualize o UniFi Play Audio Port para a versão 1.1.9 ou posterior.
- Restrinja o acesso à rede UniFi Play a usuários e dispositivos confiáveis até que as atualizações sejam aplicadas.
- Consulte o aviso do fabricante para instruções adicionais.
Orientações de detecção
- Faça o inventário dos dispositivos UniFi Play PowerAmp e Audio Port e registre as versões atuais.
- Revise registros de acesso de rede e de dispositivos em busca de atividade administrativa inesperada ou alterações de configuração incomuns.
- Monitore dispositivos que permanecem em versões inferiores às corrigidas.
Limitações das informações disponíveis
O registro não inclui detalhes técnicos da fraqueza, do componente afetado ou do caminho exato de entrada. O campo de título está vazio no registro e o status de origem no NVD está como Deferred. A data do EPSS no registro é posterior à data de publicação e deve ser verificada na fonte.
Perguntas frequentes
Quais versões do UniFi Play são afetadas pela CVE-2026-22563?
O registro indica o UniFi Play PowerAmp na versão 1.0.35 e anteriores e o UniFi Play Audio Port na versão 1.0.24 e anteriores como afetados.
Quais versões corrigem o problema?
O registro indica o UniFi Play PowerAmp 1.0.38 ou posterior e o UniFi Play Audio Port 1.1.9 ou posterior como versões atualizadas.
Há exploração ativa conhecida desta CVE?
A CVE não está listada no catálogo KEV da CISA no registro, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.